个人数据泄露发生的那一天，没有人有时间去决定由谁来决定。然而这恰恰是第一个决定，它定下了其余所有决定的节奏：是否向西班牙数据保护局（AEPD）通报，是否向受影响个人告知，以及告知的确切内容为何。
72小时应急值守（72-Hour Standby）是一份年度常年顾问协议，在事情发生之前就填补这一空白。事情发生时，您只需打一通电话，预案随即启动：有人作决定，有人起草文书，而所做的一切都在进行过程中即载明日期予以记录，而不是事后补录。
事件之后才记录的一切，都会被读作事后反应。只有在事情发生过程中记录下来的，才会被读作勤勉。
适用对象
- 保管大量人员数据、并且清楚事件的发生只是时间问题而非是否发生的企业。
- 不愿在事发当天才发现，最需要担当的那个决定竟落在当天恰好在场的人手上的总经理层。
- 经历过事件、并清楚记得临场发挥代价的企业。
- 没有内部法务团队、难以同时应对三条战线且每条战线都有时钟在走的组织。
具体包含什么
- 事件发生前即已书面签署的预案。由谁决定是否通报、由谁起草、由谁与受影响个人沟通，以及各自应在多长时间内行动。
- 全年有效的启动专线。只需一个联系人即可启动预案，无需四处找人，也无需从头解释案情。
- 是否向AEPD通报的决定。对个案的分析，以及书面的说理决定，无论通报与否。决定不通报，同样必须能够说明理由。
- 对受影响个人的告知。起草发送给他们的文本，逐字斟酌：这是对方日后会拿来使用的文件。
- 自第一小时起的证据固定。载明日期地记录知道了什么、何时知道、决定了什么、由谁决定。
- 年度演练。每年进行一次空转启动，检验预案在当下在任人员手中是否行得通。
解决哪一条规则
规则C——过错推定。要免除责任，您必须举证证明已采取适当的勤勉措施，包括旨在防止身份冒用的措施，见西班牙马德里省级法院第273/2024号判决（SAP Madrid 273/2024），依据为《通用数据保护条例》（GDPR）第82条第3款。每一个临场发挥的小时，都是没有书面痕迹的一小时；而没有痕迹的事，无法在诉讼中主张。
规则D——问责原则。证明勤勉的举证责任落在您身上，而未来诉讼中一半的证据，正是在最初那几个小时里形成的：
并且，依照《通用数据保护条例》第5条第2款，「数据控制者应当对第1款各项规定的遵守负责，并有能力予以证明（问责原则）」。「译文」
交付成果
- 书面响应预案，经签署并分发给应当执行的人员。
- 决策表，载明姓名、替补人员与时限。
- 向AEPD通报与向受影响个人告知的文本模板，可在数小时内完成适配。
- 事件时间轴登记模板，用于在事情发生过程中同步记录。
- 每次启动的结案报告，并归入您的证据档案。
- 年度演练纪要。
参考时程
自签约起两到三周内，预案即可投入使用。此后，在协议的十二个月期间值守持续有效，启动即时生效。
本服务覆盖的是响应环节。支撑这一响应的证据要在此之前构建：请查看可证明勤勉档案（Demonstrable Diligence File），用泄露管理测评衡量您当前的处境，并在个人数据泄露之后法院真正审查什么中了解司法审查的标准。